Kernel: Oracle startet eigene Sammlung von Linux-Sicherheitspatches
Einige der Nutzer der stabilen Zweige des Linux-Kernels hätten in besonders komplexen Installationen kaum einen Anreiz, regelmäßig Updates einzuspielen, da diese erst aufwändig getestet werden müssten, schreibt der Oracle-Entwickler Sasha Levin(öffnet im neuen Fenster) . Diese Anwender seien zudem lediglich an Updates interessiert, die Sicherheitslücken schließen. Deshalb bietet Levin nun einen eigenen Zweig des Linux-Kernels an(öffnet im neuen Fenster) , der nur Sicherheitspatches enthält.
In dem beschriebenen Anwendungsfall müssten also nur einige wenige Updates überprüft werden, die sich dann schnell einspielen lassen sollten. Die Vielzahl weiterer "zufälliger" Bugfixes, die eben nicht sicherheitsrelevant seien, müssten nicht weiter beachtet werden. Der Oracle-Angestellte Levin versucht also eine Möglichkeit anzubieten, die mehr Nutzer dazu bewegt, Updates einzupflegen.
Was sind Sicherheitslücken und was nicht?
Obwohl dies zunächst wie eine gute Idee erscheint, ist das Vorgehen unter den Kernel-Entwicklern eher umstritten. Denn zur Pflege der Update-Sammlung muss Levin als Betreuer des Projekts die Entscheidung treffen, welche Patches er aufnimmt und welche nicht. Das ist aber insbesondere für den Linux-Kernel schwer zu beurteilen. In einer Diskussion bei Lwn.net(öffnet im neuen Fenster) heißt es etwa, das mindestens die Hälfte aller Patches für die stabilen Zweige als Sicherheitslücken gewertet werden müssten.
Besonders kritisch wird das Projekt auch von Greg Kroah-Hartman gesehen, der einige der stabilen Zweige mit Langzeitunterstützung pflegt. Er erinnert(öffnet im neuen Fenster) etwa an einen Fehler im TTY-Subsystem der Kernel, der zwar behoben, dessen Tragweite allerdings erst eineinhalb Jahre später entdeckt wurde. Außerdem befürchtet er(öffnet im neuen Fenster) , dass eine derartige Sammlung einen falschen Eindruck von Sicherheit erweckt, da sich eben auch Sicherheitslücken in normalen Fehlern befinden könnten. Die Zielgruppe der Patchsammlung könnte damit Updates für Sicherheitslücken verpassen.
- Anzeige Hier geht es zu Hacking & Security: Das umfassende Handbuch bei Amazon Wenn Sie auf diesen Link klicken und darüber einkaufen, erhält Golem eine kleine Provision. Dies ändert nichts am Preis der Artikel.